Gruppi di sicurezza di Active Directory vs Gruppi di distribuzione

L'utilizzo di gruppi è una best practice per la gestione di Active Directory. Questo articolo descrive i due tipi di gruppi di Active Directory — gruppi di sicurezza e gruppi di distribuzione — e offre indicazioni per utilizzarli efficacemente.

Principali differenze tra Security Groups e Distribution Lists

I gruppi di sicurezza e i gruppi di distribuzione (più comunemente chiamati liste di distribuzione) sono entrambi gruppi di Active Directory, ma sono progettati per scopi molto diversi:

• I gruppi di sicurezza sono utilizzati per gestire l'accesso di utenti e computer a risorse IT condivise, come dati e applicazioni. I permessi sono assegnati al gruppo di sicurezza e tutti gli account utente e computer che sono membri del gruppo acquisiscono automaticamente tali permessi.
• I gruppi di distribuzione (liste di distribuzione) sono utilizzati per inviare email a un insieme di utenti, senza che il mittente debba inserire individualmente l'indirizzo email di ogni destinatario.

Si noti che mentre è possibile utilizzare i gruppi di sicurezza per la distribuzione delle email, non è possibile utilizzare le liste di distribuzione per assegnare permessi.

Ora, approfondiamo ogni tipo di gruppo AD.

Gruppi di sicurezza

Active Directory security groups are used to manage user and computer access to shared resources, such as folders, applications and printers. This makes provisioning easier and more accurate. For example, when a new person joins the organization, the IT team can quickly grant them access to exactly the resources they need to do their job simply by adding them to the appropriate security groups, such as the groups for their department and their specific projects. Security groups can also be set up to deny a set of users access to a particular resource.

Due funzioni principali di un gruppo di sicurezza sono:

• Assegnazione dei diritti utente: Assegnare i diritti utente a un gruppo di sicurezza determina ciò che i membri di quel particolare gruppo possono fare all'interno del dominio. Ad esempio, un utente che viene aggiunto al gruppo degli Operatori di backup può eseguire il backup e il ripristino di file e directory situati su ogni controller di dominio nel dominio. Essendo membro di questo gruppo, si ereditano i diritti utente assegnati al gruppo.
• Assegnare permessi per le risorse: Questo è diverso dai diritti degli utenti perché i diritti degli utenti si applicano a un intero dominio rispetto ai permessi che sono diretti a un'entità specifica. I permessi determinano chi può accedere alla risorsa e il livello di accesso, come Controllo completo o Sola lettura.

In poche parole, i diritti utente si applicano agli account utente mentre i permessi sono associati agli oggetti.

Gli amministratori possono creare gruppi di sicurezza e gestirne permessi e appartenenze attraverso diversi metodi, inclusi la console Active Directory Users and Computers (ADUC), Windows PowerShell e soluzioni software di gestione di gruppi di terze parti.

Cosa sono i permessi dei gruppi di sicurezza di Active Directory?

I permessi in Active Directory sono un insieme di regole e normative che definiscono quanta autorità ha un oggetto, per visualizzare o modificare altri oggetti e file nella directory. Per garantire che gli utenti abbiano accesso solo alle risorse di cui hanno bisogno, gli amministratori IT assegnano i permessi tramite le Liste di Controllo degli Accessi (ACL).

Cosa sono le Access Control Lists (ACL)?

Le liste di controllo degli accessi definiscono le entità che hanno accesso a un oggetto e il tipo di accesso. Queste entità possono essere account utente, account computer o gruppi. Ad esempio, se un oggetto file ha una ACL che contiene (Mary: leggi; Sarah: leggi, scrivi), ciò consentirebbe a Mary di leggere il file e permetterebbe a Sarah di leggerlo e scriverlo.

Una Access Control List può essere configurata su un oggetto individuale o su un'unità organizzativa (OU), il che significa che tutti gli oggetti discendenti dell'OU ereditano l'ACL.

Tipi di Access Control Lists

Ci sono due tipi di ACL, ognuno dei quali svolge una funzione distintiva:

• Lista di controllo degli accessi discrezionali (DACL): Questa lista indica i diritti di accesso assegnati a un'entità su un oggetto. Quando un'entità o un processo tenta di accedere a un oggetto, il sistema determinerà l'accesso basandosi sui seguenti criteri:
  • Se un oggetto non ha una DACL, il sistema consente a tutti l'accesso completo.
  • Se un oggetto ha una DACL, il sistema consente l'accesso che è esplicitamente permesso dalle voci di controllo di accesso (ACE) nella DACL.
  • Se una DACL ha delle ACE che consentono l'accesso solo a un insieme limitato di utenti o gruppi, il sistema nega implicitamente l'accesso a tutti coloro che non sono inclusi nelle ACE.
  • Se il DACL di un oggetto non ha ACE, il sistema non consente l'accesso a nessuno.
• Lista di controllo degli accessi di sistema (SACL): Questa lista genera rapporti di audit che indicano quale entità ha tentato di accedere a un oggetto. Indica anche se all'entità è stato negato l'accesso o se è stato concesso l'accesso per quell'oggetto insieme al tipo di accesso fornito.

Suggerimento: Evitare di utilizzare i Gruppi di Sicurezza per l'invio di Email

In una configurazione standard, ai gruppi di distribuzione creati in Exchange e Microsoft 365 vengono assegnati indirizzi email per impostazione predefinita, ma non ai gruppi di sicurezza. Di conseguenza, normalmente i gruppi di sicurezza non possono essere utilizzati per la distribuzione delle email. Tuttavia, è possibile abilitare la posta per un gruppo di sicurezza al fine di utilizzarlo sia per concedere l'accesso alle risorse sia per inviare email.

Tuttavia, non è una buona prassi utilizzare gruppi di sicurezza per le email poiché ciò potrebbe compromettere la sicurezza. Un gruppo di sicurezza abilitato alla posta aumenta il rischio di furto d'identità per sé stesso per primo, il quale potrebbe diffondersi ad altri gruppi di sicurezza che sono membri del gruppo compromesso. Oppure, ad esempio, se un gruppo di sicurezza abilitato alla posta riceve un link dannoso in un messaggio, potrebbe intralciare la privacy della tua organizzazione alterando determinate impostazioni.

Se hai la necessità di inviare un'email a tutti i membri di un gruppo di sicurezza, è meglio creare un gruppo di distribuzione con gli stessi membri del gruppo di sicurezza.

Gruppi di distribuzione

I gruppi di distribuzione di Active Directory vengono utilizzati per inviare email a un gruppo di utenti piuttosto che ai singoli destinatari uno per uno. Ad esempio, un'azienda potrebbe creare una lista di distribuzione per tutti i dipendenti, un'altra lista di distribuzione per tutti i manager e una lista di distribuzione separata per ogni dipartimento. Quando vuoi inviare un'email a uno di questi gruppi, puoi semplicemente selezionare il gruppo di distribuzione, invece di dover aggiungere tutti i destinatari individualmente. Questo fa risparmiare tempo e aumenta la precisione.

Come accennato in precedenza, non è possibile assegnare permessi alle liste di distribuzione.

Gruppi di distribuzione vs Caselle di posta condivise

Una lista di distribuzione è molto diversa da una casella di posta condivisa. Una casella di posta condivisa viene utilizzata quando più persone necessitano di accedere alla stessa casella. Ad esempio, il team di assistenza e il team di supporto IT potrebbero utilizzare una casella di posta condivisa per poter collaborare sui compiti. Inoltre, chiunque nei team può inviare e ricevere email a nome dei team. Tipicamente, una casella di posta condivisa ha un indirizzo generico come “ITsupport@company.com” in modo che rimanga lo stesso anche se la composizione del team responsabile cambia nel tempo. Quando un utente invia un'email da una casella di posta condivisa, essa viene inviata dall'indirizzo della casella condivisa piuttosto che dall'indirizzo email personale dell'utente. Una copia di quell'email viene inviata alla casella di posta condivisa affinché tutti gli altri membri possano vederla.

Uno scenario che evidenzia la differenza tra una lista di distribuzione e una casella di posta condivisa è la cancellazione delle email. Se un utente elimina un'email da una casella di posta condivisa, quell'email viene eliminata per tutti coloro che hanno accesso a quella casella. Ma quando un membro di una lista di distribuzione elimina un'email inviata al gruppo, quell'email non viene eliminata dalla casella di posta di nessun altro destinatario.

È possibile gestire i Distribution Groups tramite i Security Groups e viceversa?

Un gruppo di sicurezza può essere reso proprietario di un gruppo di distribuzione. Ciò consentirebbe a tutti i membri del gruppo di sicurezza di gestire quel gruppo di distribuzione — ad esempio, i destinatari dei rapporti di mancata consegna e le restrizioni di invio/ricezione dei messaggi. Per esempio, un gruppo di sicurezza creato per un team di progetto potrebbe essere il proprietario della relativa lista di distribuzione, e il team delle comunicazioni aziendali potrebbe essere il proprietario di più liste di distribuzione per l'azienda.

D'altra parte, un gruppo di distribuzione non può essere reso proprietario di un gruppo di sicurezza.

È sicuro eliminare i gruppi di distribuzione e i gruppi di sicurezza?

Eliminare un gruppo di distribuzione non rappresenta una minaccia per la sicurezza della tua organizzazione, anche se cancellarlo accidentalmente può interrompere le comunicazioni fino a quando il gruppo può essere ripristinato dal backup o ne viene creato uno nuovo e popolato con gli stessi membri.

Tuttavia, eliminare un gruppo di sicurezza può avere implicazioni gravi, come:

• Sicurezza — Eliminare un gruppo di sicurezza che limita l'accesso dei membri a determinate risorse concederebbe a quegli utenti l'accesso a tali risorse.
• Produttività — Eliminare un gruppo di sicurezza che concede ai suoi membri l'accesso a determinate risorse lascerebbe gli utenti incapaci di accedere ai dati e alle applicazioni di cui hanno bisogno per svolgere il loro lavoro.

Di conseguenza, prestare attenzione prima di eliminare i gruppi di sicurezza.

Conclusione

Mantenere i tuoi gruppi di sicurezza e le liste di distribuzione accurati e aggiornati è fondamentale per la sicurezza e la continuità aziendale. Per semplificare il lavoro, considera di investire in una soluzione come Netwrix Directory Manager. Netwrix Directory Manager rende facile assicurarsi che:

• Ogni gruppo nella tua directory serve uno scopo.
• Ogni gruppo ha un proprietario.
• Gli utenti non ricevono un'adesione non necessaria ai gruppi.
• Nessun gruppo ha permessi eccessivi.
• I gruppi non sopravvivono al loro scopo previsto.
• I gruppi duplicati non esistono.